Jak předcházet doxing útokům na firmu

Nebezpečným trendem se stává tzv. korporátní doxing - útočníci neoprávněně shromažďují důvěrné informace o firmě i jejích zaměstnancích, aby je poškodili nebo na informacích vydělali. Cílem je získávání citlivých dat - např. klientských databází, případně rovnou krádež financí.

Jednou z metod používaných při doxingu je zneužití firemních e-mailů (Business Email Compromise, BEC) - jde o cílené útoky, při nichž pachatelé rozesílají zaměstnancům řetězové e-maily, jež vypadají, jako by je odesílal někdo z firmy.

Jen v únoru 2021 odhalila společnost Kaspersky 1646 takových útoků, což dokazuje obecně slabou ochranu firem před zneužíváním veřejně dostupných informací.

"Obecně se má za to, že se doxing týká hlavně běžných uživatelů, protože se často odehrává na sociálních sítích. Jenže existuje i doxing korporátní, který je výraznou hrozbou pro důvěrné firemní údaje a rozhodně radíme nepřehlížet ho. Korporátní doxing může podobně jako ten osobní vést ke ztrátě peněz či pověsti - čím důvěrnější jsou ukradené informace, tím víc škody doxing nadělá. Přitom se mu dá předcházet nebo aspoň minimalizovat jeho následky, pokud organizace dodržuje bezpečnostní zásady a procedury," říká Roman Dedenok, bezpečnostní expert společnosti Kaspersky.

Jak předcházet doxing útokům na firmu:

• Průběžně školte zaměstnance o základních kybernetických hrozbách. Zaměstnanec, který se dobře orientuje v problematice kybernetické bezpečnosti, je schopen zabránit útoku. Například pokud obdrží e-mail od kolegy s žádostí o informace, bude vědět, že má nejdříve tomuto kolegovi zatelefonovat, aby si ověřil, že tuto zprávu skutečně odeslal on.

• Pomozte zaměstnanců získat lepší povědomí o úskalích kybernetické bezpečnosti. Je to jediný způsob, jak účinně bojovat s technikami sociálního inženýrství, které kybernetičtí zločinci používají stále agresivnějším způsobem. Můžete k tomu využít školicí platformu, jako je Kaspersky Automated Security Awareness Platform.

• Zaveďte přísné pravidlo, že zaměstnanci nesmějí nikdy psát o pracovních záležitostech na svých soukromých e-mailech a mimo oficiální firemní komunikaci - proškolte zaměstnance, aby toto pravidlo striktně dodržovali!

Využívejte nástroje proti spamu a phishingu:

• Kaspersky Security pro servery Microsoft Exchange
• Kaspersky Security pro Microsoft Office 365
• Kaspersky Security pro Linux Mail Server
• Kaspersky Secure Mail Gateway

V jednom z posledních případů, které společnost Kaspersky analyzovala, se pachatel vydával za jednoho z klíčových zaměstnanců firmy, využíval velmi podobný e-mail jako on a lákal z kolegů peníze.

Takové útoky by nebyly v masovém měřítku možné, pokud by pachatelé neměli k dispozici velké množství veřejně dostupných informací na sociálních sítích a dalších místech - např. jména a pracovní zařazení zaměstnanců, jejich další údaje, termíny dovolených nebo kontakty.

Zneužití podnikových e-mailů je ovšem jen jedním z typů útoků, které využívají veřejně dostupné informace, aby mohly škodit firmám - doxing má ve skutečnosti mnoho podob.

Některé z nich jsou dobře známé a jednoduché, například phishing nebo napadání pečlivě vybraných firem pomocí úniků dat, jiné jsou kreativnější a využívají modernější technologie.

Mezi oblíbené metody korporátního doxingu aktuálně patří krádeže identit. Útočníci si vyberou vhodnou oběť a pak její identitu využívají k nekalým účelům, což jim výrazně usnadňují moderní technologie typu deepfake - stačí, když je k dispozici dostatek veřejně přístupných dat.

Například deepfake video, které domněle zobrazuje některého z pracovníků vybrané firmy, může výrazně poškodit pověst dané společnosti.

Útočníci k tomu potřebují jen určité množství fotografií či videozáznamů vybraného člověka a k tomu pár základních osobních informací.

Zneužít se dají i hlasy - stačí rozhlasový záznam nebo podcast některého z vysoce postavených manažerů, ze kterého útočníci hlas získají a napodobí ho například při telefonátu, který po podřízených žádá rychlý převod firemních peněz nebo zaslání klientské databáze na určitou adresu.

Článek KASPERSKY LAB CZECH REPUBLIC ze dne čtvrtek 1. dubna 2021

Další články od KASPERSKY LAB CZECH REPUBLIC